Модернизация сетевой безопасности производственного предприятия: миграция с решения Cisco ASA на современное решение Cisco FTD

Задача

Производственной компании требовалось провести плановую модернизацию периметра сетевой безопасности — заменить устаревшие межсетевые экраны Cisco ASA 5500 на высокопроизводительные межсетевые экраны нового поколения (NGFW) Cisco Secure Firewall под управлением Firepower Threat Defense (FTD).

Ключевые цели проекта:

• Повышение пропускной способности и отказоустойчивости сетевого контура производственной инфраструктуры.
• Переход на технологии глубокого анализа угроз: инспекция приложений (AVC), предотвращение вторжений (NGIPS) и защита от вредоносного ПО (AMP).
• Централизация управления политиками безопасности через виртуальный центр управления Cisco Secure Firewall Management Center (FMC).
• Бесшовный перенос существующего массива сетевых правил, политик маршрутизации и VPN-доступа с минимальным окном простоя для производственных процессов.

Выполнение

Инженеры CBS совместно с IT-командой Заказчика реализовали проект в несколько последовательных этапов:

1. Проектирование и подготовительные работы:
   • Проведен аудит текущей сетевой архитектуры, согласована схема коммутации пары устройств FPR и план миграции.
   • Подготовлены дистрибутивы и образы ПО (FMC, FTD, базы уязвимостей VDB).
2. Базовая конфигурация центра управления и кластера:
   • Выполнена установка и первичная инициализация FMC.
   • Настроены системные регламенты: профили мониторинга сенсоров, расписания обновлений сигнатур, резервное копирование и передача событий безопасности (логов) в корпоративный SIEM/стек ELK.
   • Настроена интеграция с Microsoft Active Directory (выгрузка групп и пользователей для контекстной идентификации трафика), включены механизмы обнаружения хостов, DNS-инспекция и модуль Security Intelligence.
   • Новые межсетевые экраны Cisco FPR зарегистрированы в FMC, ОС FTD обновлена до актуальной версии, после чего шлюзы были объединены в отказоустойчивую пару высокой доступности (HA Failover Active-Standby).
3. Миграция настроек Cisco ASA:
   • С помощью специализированного инструмента Cisco Firewall Migration Tool (FMT) выполнен автоматический перенос конфигурации с ASA 5500: сетевых объектов, списков контроля доступа (ACL), статических маршрутов, протоколов динамической маршрутизации, правил PBR, а также профилей подключений и групповых политик.
   • Проведен анализ расхождений и корректировка несовместимых параметров конфигурации.
   • Загружены образы клиента Cisco AnyConnect, донастроены параметры удаленного VPN-доступа. В рамках работ были перенесены около 50 профилей доступа Anyconnect содержащие в том числе динамические-политики (DAP).
4. Внедрение сервисов Next-Generation Security:
   • Сконфигурирована комплексная политика контроля доступа (Access Control Policy) с учётом старых настроек на Cisco ASA. В рамках работ были перенесены более 1000 правил межсетевого взаимодействия.
   • Развернута политика NGIPS: сигнатурный анализ запущен сначала в режиме мониторинга (IDS) для тюнинга исключений, затем переведен в активный режим блокировки (inline/IPS).
   • Активированы базовые файловые политики и сервис потоковой защиты от вредоносного ПО Cisco Secure Malware Analytics (AMP).
   • Для аудита и учета телеметрии настроен сбор метрик по протоколам SNMP и NetFlow.
5. Переключение и ввод в эксплуатацию:
   • В согласованное регламентное окно произведено переключение основного сетевого трафика с Cisco ASA на кластер FPR.
   • Проведено комплексное нагрузочное и функциональное тестирование (проверка маршрутизации, качества фильтрации трафика, стабильности VPN-туннелей AnyConnect).
   • Разработана подробная эксплуатационная документация и регламенты технического обслуживания для сетевых администраторов Заказчика.

Результат

• Новый уровень защиты инфраструктуры: Предприятие перешло от классической межсетевой фильтрации (L3/L4) к полноценной инспекции уровня приложений (L7), получив автоматическую блокировку сетевых атак в реальном времени и потоковый антивирусный анализ файлов.
• Аппаратная отказоустойчивость: Кластер высокой доступности на базе двух Cisco FPR исключает появление единой точки отказа в ядре сетевого периметра.
• Управляемость и прозрачность: Внедрение Cisco FMC обеспечило сквозную видимость сетевых событий, упростило администрирование пользователей AD и централизовало аудит благодаря интеграции с ELK.
• Непрерывность бизнеса: Корректно спланированная миграция позволила полностью сохранить сложную историческую логику сетевого доступа без сбоев в работе производственных линий и сервисов Заказчика.